1.1. Образовательный центр, работающий с учащимися и их законными представителями, является оператором персональных данных. Это статус по закону, он не зависит от того, какие программы центр использует и заключён ли договор с кем-либо ещё.
1.2. Подключение alfa-analytics не переносит на Исполнителя обязанности оператора. Исполнитель выступает лицом, обрабатывающим данные по поручению центра (ч. 3 ст. 6 152-ФЗ): он отвечает за защиту данных на своей стороне, а за законность целей обработки, наличие согласий и взаимодействие с Роскомнадзором отвечает центр.
1.3. Ответственность по ст. 13.11 КоАП РФ с 2025 года существенно повышена: организационные нарушения (отсутствие политики, необоснованный отказ субъекту, работа без уведомления регулятора) наказываются штрафами в размере сотен тысяч рублей, утечка персональных данных — до нескольких миллионов, а при повторной утечке предусмотрен оборотный штраф, рассчитываемый от выручки. Наличие оформленных документов и оперативное уведомление регулятора учитываются при определении размера санкции.
| № | Что сделать | Основание и комментарий |
|---|---|---|
| 1 | Подать уведомление в Роскомнадзор о начале обработки персональных данных (или актуализировать поданное ранее), указав в нём сведения о лице, обрабатывающем данные по поручению | Ст. 22 152-ФЗ. Подаётся через личный кабинет на сайте Роскомнадзора. Реквизиты Исполнителя для внесения в уведомление приведены в разделе 4 настоящей памятки |
| 2 | Назначить приказом ответственного за организацию обработки персональных данных | П. 1 ч. 1 ст. 18.1 152-ФЗ |
| 3 | Утвердить и опубликовать на своём сайте Политику в отношении обработки персональных данных | Ч. 2 ст. 18.1 152-ФЗ. Документ должен быть доступен неограниченному кругу лиц |
| 4 | Собрать согласия законных представителей учащихся отдельным документом, поимённо указав обработчика и перечень поручаемых ему действий | Ч. 1 ст. 9 152-ФЗ в редакции, действующей с 01.09.2025. Согласие нельзя получать галочкой в общем чек-боксе вместе с договором или анкетой. Готовая форма — Согласие на обработку ПДн |
| 5 | Вести журнал учёта согласий: дата и время получения, состав данных и цели, способ подтверждения, дата и способ отзыва. Хранить не менее 5 лет после прекращения обработки | Подтверждение наличия согласия при проверке лежит на операторе |
| 6 | Утвердить внутренние документы: перечень обрабатываемых данных, перечень информационных систем, положение об обработке, перечень допущенных сотрудников, обязательства о неразглашении | Ч. 1 ст. 18.1, ст. 19 152-ФЗ. Именно этот комплект запрашивают при проверке |
| 7 | Определить уровень защищённости информационных систем и принять соответствующие меры защиты | Постановление Правительства РФ № 1119, приказ ФСТЭК России № 21 |
| 8 | Утвердить порядок реагирования на инциденты: уведомление Роскомнадзора в течение 24 часов с момента выявления и представление результатов внутреннего расследования в течение 72 часов | Ч. 3.1 ст. 21 152-ФЗ. Исполнитель со своей стороны уведомляет центр в течение 6 часов, чтобы центр успел уложиться в свои сроки |
| 9 | Утвердить порядок рассмотрения обращений субъектов: предоставление сведений, уточнение, блокирование, уничтожение, отзыв согласия — в срок до 10 рабочих дней | Ст. 14, 21 152-ФЗ. Обращения, поступившие Исполнителю, перенаправляются центру в течение 3 рабочих дней |
| 10 | Установить сроки хранения и порядок уничтожения данных по достижении целей, фиксировать уничтожение актом | Ст. 5, 21 152-ФЗ |
| Обеспечивает Исполнитель (alfa-analytics) | Обеспечивает центр |
|---|---|
| Хранение и обработка данных на территории РФ; изоляция данных разных центров на уровне базы данных; шифрование каналов и чувствительных полей; разграничение доступа по ролям и филиалам; журналирование действий; резервное копирование; уведомление центра об инциденте в течение 6 часов; выгрузка или уничтожение данных при прекращении договора; поддержание в актуальном состоянии договора поручения, политики и перечня привлекаемых лиц | Правовые основания обработки и цели; получение и хранение согласий законных представителей; уведомление Роскомнадзора о начале обработки и об инцидентах; собственная политика и внутренний комплект документов; управление доступом своих сотрудников и своевременное отключение уволенных; ответы субъектам по существу; законность содержания переписки, которую ведут сотрудники центра |
3.1. Исполнитель не собирает согласия за центр, не подаёт за центр уведомления в Роскомнадзор и не оценивает законность целей обработки, определённых центром. Эти действия невозможно передать обработчику по закону.
| Наименование обработчика | Индивидуальный предприниматель Постников Павел Владимирович |
|---|---|
| ИНН / ОГРНИП | 720505361554 / 318723200026953 |
| Адрес | 625028, г. Тюмень, ул. Родниковая, д. 46 |
| Основание обработки | Договор поручения на обработку персональных данных (приложение к Публичной оферте), ч. 3 ст. 6 152-ФЗ |
| Поручаемые действия | Сбор, запись, систематизация, накопление, хранение, уточнение, использование для формирования аналитических отчётов, приём и передача сообщений, удаление |
| Территория обработки | Российская Федерация |
5.1. Подключение модулей, работающих с данными учащихся, следует начинать после того, как выполнены пункты 1, 3 и 4 чек-листа. Это минимальный набор, отсутствие которого проверяющий увидит сразу.
5.2. Если какие-то пункты ещё не закрыты, рекомендуется начать с модулей, не затрагивающих данные учащихся, и подключить остальные после оформления документов.